Installation d'Active Directory sous server 2003

Installation

L'installation d'Active Directory s'effectue à partir d'un serveur Windows 2003 membre ou autonome. Une fois la base d'annuaire installée, votre serveur deviendra un contrôleur de domaine.

Active Directory sera un fichier de base de données appelé NTDS.DIT situé sous l'emplacement par défaut %systemroot%\ntds. Il est possible de modifier ce chemin lors de l'installation d'Active Directory.
L'installation d'Active Directory nécessite une partition NTFS pour stocker le répertoire système partagé (SYSVOL) car le suivi des modifications dupliquées de la base d'annuaire s'effectue par des numéros de version séquentiels pris en charge par le système NTFS.

Pour installer Active Directory, vous devez exécuter la commande DCPROMO.EXE. La base de comptes (base SAM) de votre serveur sera copiée dans la base d'annuaire avant d'être détruite de votre serveur. Vous ne perdrez donc pas les informations de comptes lors de la migration de vos contrôleurs de domaine NT vers Windows 2003. Si vous exécutez la commande dcpromo sur un contrôleur de domaine Windows 2003, vous rétrogradez alors votre contrôleur au titre de serveur membre ou autonome. Vous obtiendrez une base SAM vierge.

Pour installer Active Directory, vous devez posséder un ordinateur fonctionnant sur l'une des trois versions de Windows Server 2003 (Edition standard, entreprise ou datacenter, la version Web Server ne supportant pas cette fonction), une partition formatée en NTFS, le protocole TCP/IP ainsi qu'un service DNS installé et configuré.

Si le service DNS n'est pas installé lors de l'exécution de dcpromo, le processus d'installation d'Active Directory vous propose de l'installer et de le configurer.

» Le service DNS doit supporter les enregistrements de type ressources (SRV) ainsi que les enregistrements dynamiques. De plus, si vous avez déjà un service DNS existant (que vous souhaitez utiliser pour les besoins d'Active Directory), vérifiez au niveau des propriétés TCP/IP de l'ordinateur que l'onglet DNS référence le serveur(s) approprié(s). 

Avant de vous lancer dans l'installation d'Active Directory, vous devez connaître exactement le rôle de ce serveur dans la structure logique Active Directory. En effet, lors de l'installation de la base d'annuaire Windows 2003, on vous demandera si votre serveur doit intégrer un domaine existant ou créer un nouveau domaine. Dans  ce dernier cas, il faudra alors savoir si ce nouveau domaine fera partie d'une arborescence existante ou si vous souhaitez créer une nouvelle arborescence. Si tel est le cas, vous devrez définir si cette nouvelle arborescence appartiendra à une forêt existante ou procéder à la création d'une nouvelle forêt. 

Nous pouvons synthétiser ceci par l'organigramme suivant :

Pour lancer l'installation d'Active Directory, suivez les étapes ciaprès :

• Ouvrez une session avec un compte d'administrateur :

- administrateur local pour créer le domaine racine ;
- administrateur du domaine parent ou de l'entreprise pour créer un domaine enfant ;
- administrateur du domaine pour ajouter un contrôleur de domaine supplémentaire.

•  Ouvrez une invite de commande ou le menu Exécuter.

 Saisissez dcpromo.exe pour lancer l'assistant d'installation d'Active Directory.
» Suite au lancement de dcpromo, un message vous rappelle que les clients Windows 95 et Windows NT4.0 SP3 ou antérieurs ne pourront pas accéder au domaine Active Directory.

 Dans la majorité des cas, il est fortement conseillé de disposer d'un seul domaine. En effet, avant l'apparition d'Active Directory, il était intéressant de créer plusieurs domaines à des fins administratives, ou encore lorsque la limite des 40 000 objets était atteinte. Avec Active Directory, la délégation d'administration, ainsi que la possibilité de créer plusieurs millions d'objets, incite à ne créer qu'un seul domaine.

Windows Server 2003 offre la possibilité d'installer ou de restaurer un contrôleur de domaine à partir d'un média de sauvegarde (état du système). Pour cela, utilisez la commande DCPROMO /ADV après avoir restauré le média vers un autre emplacement que celui d'origine.

Création d'un nouveau domaine ou domaine racine

La première fois que vous installez Active Directory, vous allez créer un nouveau domaine (domaine racine) dans une nouvelle forêt. Pour cela, après avoir exécuté dcpromo, suivez les étapes ciaprès :

•  Sélectionnez Contrôleur de domaine pour un nouveau domaine et cliquez sur le bouton Suivant.

•  Sélectionnez Créer une nouvelle arborescence de domaine et cliquez sur le bouton Suivant.

•  Sélectionnez Créer une nouvelle forêt d'arborescences de domaine et cliquez sur le bouton Suivant.

• Entrez le nom DNS pour votre domaine puis cliquez sur le bouton Suivant.

• Entrez le nom NetBIOS de votre domaine. Par défaut, le processus d'installation propose les premiers caractères du nom DNS, dans la limite du premier point ou d'une longueur de 15 caractères.

• Cliquez sur le bouton Suivant.

• Indiquez le chemin pour stocker les informations concernant Active Directory. Par défaut, il vous est proposé %systemroot%\NTDS pour le stockage de la base de données ainsi que pour les journaux de log. Ils peuvent être stockés aussi bien sur une partition FAT, FAT32 que NTFS.

 Pour optimiser les performances de votre serveur, vous pouvez placer sur des disques différents la base de données et les journaux de log.

• Cliquez sur le bouton Suivant.

•  Entrez le chemin pour le dossier volume système (Sysvol). Ce dossier doit obligatoirement se situer sur une partition NTFS.

Il contient la définition des stratégies de groupes, les scripts et des informations de réplication.

Windows 2000 essaie de détecter un serveur DNS gérant la zone portant le nom de domaine que vous venez d'indiquer. Ce DNS doit supporter les enregistrements dynamiques. Si aucun serveur DNS gérant votre zone n'est configuré, le processus d'installation d'Active Directory vous propose d'installer le service DNS et de le configurer.

L'écran précédent n'est pas affiché si le service DNS est correctement détecté.

• Sélectionnez Autorisations compatibles uniquement avec les systèmes d'exploitation serveurs Windows 2000 ou Windows Server 2003.

Si vous sélectionnez l'option Autorisations compatibles avec les systèmes d'exploitation serveurs
antérieurs à Windows 2000, le groupe Tout le monde aura alors la permission de lire tous les attributs de tous les objets Active Directory. Cette option peut être utilisée dans le cas où vous avez effectué une mise à niveau d'un serveur NT4 vers 2003 sur lequel le service RAS (Remote Access Service) était déjà installé. Lors de la promotion de ce dernier en contrôleur de domaine Windows 2003, il faudra choisir cette option pour pouvoir continuer d'utiliser le service RAS.

En effet, le service RAS de NT4 utilise un compte d'ouverture de session système renvoyant un nom d'ouverture de session et un mot de passe vierges pour s'exécuter. Windows 2003 n'autorise pas les sessions NULL à lire les attributs d'Active Directory.

• Cliquez sur le bouton Suivant. 

• Entrez un mot de passe et sa confirmation pour le mode restauration de la base d'annuaire. En effet, lors du lancement du système en mode restauration des services d'annuaire, vous démarrez Windows 2003 sans charger la base d'annuaire dans le but de la restaurer à partir d'une sauvegarde. Pour cela, il faudra se connecter en tant qu'administrateur avec le mot de passe indiqué dans la fenêtre précédente.

» Ce mot de passe peut être modifié par la commande Set DSRM Password de l'utilitaire NTDSUTIL.exe.

• Cliquez sur le bouton Suivant.

 Avant de cliquer sur le bouton Suivant pour lancer l'installation d'Active Directory, vérifiez que toutes les actions qui seront effectuées correspondent bien à vos attentes.

L'installation d'Active Directory peut alors commencer :

Si vous avez choisi d'installer le service DNS sur le contrôleur de domaine, l'opération s'effectue durant cette phase.
À la fin de l'installation, la fenêtre suivante apparaît :

• Cliquez sur Terminer.

Vous êtes invité à redémarrer l'ordinateur pour prendre en compte toutes les modifications.

• Cliquez sur le bouton Redémarrer maintenant.

Après avoir redémarré, vous êtes en mesure d'ouvrir une session sur votre domaine.